Mobil uygulamalar, kullanıcıların kişisel verilerini çeşitli yollarla toplayan ve işleyen platformlardır. Konum bilgisi, cihaz kimliği, kamera erişimi, rehber bilgileri ve daha pek çok veri kategorisi mobil uygulamalar aracılığıyla işlenebilmektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında, mobil uygulama geliştiricileri ve yayıncıları da veri sorumlusu veya veri işleyen sıfatıyla belirli yükümlülüklere tabi olabilmektedir. Bu rehberde, mobil uygulamalarda KVKK uyumu hakkında genel çerçeve bilgiler sunulmaktadır.
Mobil Uygulamalarda Toplanan Kişisel Veriler
Mobil uygulamalar, web sitelerine kıyasla çok daha geniş bir veri yelpazesine erişim sağlayabilir. Genel olarak mobil uygulamalar aracılığıyla toplanan kişisel veri kategorileri şu şekilde sıralanabilir:
- Kimlik bilgileri: Ad, soyad, e-posta, telefon numarası gibi kayıt sırasında alınan bilgiler
- Konum verileri: GPS, Wi-Fi veya baz istasyonu üzerinden elde edilen konum bilgileri
- Cihaz bilgileri: Cihaz modeli, işletim sistemi, benzersiz cihaz tanımlayıcıları (IMEI, reklam kimliği vb.)
- İletişim verileri: Rehber erişimi durumunda kişi listesi bilgileri
- Medya erişimi: Kamera ve mikrofon erişimi ile fotoğraf galerisi
- Kullanım verileri: Uygulama içi davranışlar, tıklama verileri, oturum süreleri
- Finansal bilgiler: Uygulama içi satın alma ve ödeme bilgileri
- Sağlık ve fitness verileri: Sağlık ve spor uygulamalarında adım sayısı, kalp atışı gibi veriler
Bu verilerin her biri KVKK kapsamında kişisel veri olarak değerlendirilebilir ve işlenmesi belirli kurallara tabidir. Sağlık verileri gibi kategoriler ise özel nitelikli kişisel veri olarak kabul edilir ve ek güvenlik önlemleri gerektirir.
Mobil Uygulamalarda Aydınlatma Yükümlülüğü
KVKK'nın 10. maddesi uyarınca, veri sorumlusunun ilgili kişiyi veri işleme faaliyetleri hakkında bilgilendirmesi gerekmektedir. Mobil uygulamalar açısından bu yükümlülük, uygulamanın ilk kurulumunda veya ilk kullanımında yerine getirilmelidir. Aydınlatma metninin şu bilgileri içermesi önerilir:
- Veri sorumlusunun kimliği ve iletişim bilgileri
- Hangi kişisel verilerin hangi amaçlarla işleneceği
- Verilerin kimlere aktarılabileceği
- Toplama yöntemi ve hukuki sebebi
- İlgili kişinin KVKK kapsamındaki hakları
Uygulama İzinleri ve Açık Rıza
Mobil işletim sistemleri (iOS ve Android), uygulama geliştiricilerinin kullanıcıdan belirli izinler talep etmesini zorunlu kılar. Konum, kamera, mikrofon, rehber gibi hassas verilere erişim için kullanıcının açık onayı gerekmektedir. KVKK açısından da bu izinler, açık rıza mekanizması olarak değerlendirilebilir; ancak yalnızca işletim sistemi izni almak, KVKK kapsamındaki açık rıza yükümlülüğünü tek başına karşılamayabilir.
KVKK'ya uygun bir açık rıza için şu koşulların sağlanması önerilir:
- Rızanın belirli bir konuya ilişkin olması
- Kullanıcının bilgilendirilmiş olması (aydınlatma metnini okumuş olması)
- Rızanın özgür irade ile verilmesi (hizmet şartı olarak dayatılmaması)
- Rızanın geri alınabilir olması
Özellikle konum takibi, kamera erişimi ve sağlık verisi toplama gibi işlemler için kullanıcıdan ayrı ve açık bir onay alınması genel olarak tavsiye edilmektedir.
Üçüncü Taraf SDK'lar ve Veri Aktarımı
Mobil uygulamalarda sıklıkla kullanılan üçüncü taraf yazılım geliştirme kitleri (SDK), analitik, reklam, sosyal medya entegrasyonu gibi amaçlarla kullanıcı verilerini toplayabilmektedir. Firebase, Google Analytics, Facebook SDK, reklam ağları gibi araçlar, kullanıcı verilerini kendi sunucularına aktarabilir.
Bu durum KVKK açısından şu soruları gündeme getirmektedir:
- Hangi SDK'lar hangi verileri topluyor?
- Bu veriler yurt dışına aktarılıyor mu?
- Kullanıcı bu veri aktarımları hakkında bilgilendirilmiş mi?
- Gerekli durumlarda açık rıza alınmış mı?
Uygulama geliştiricilerinin, kullandıkları tüm üçüncü taraf SDK'ları gözden geçirmeleri ve aydınlatma metinlerinde bu araçlardan bahsetmeleri önerilmektedir. Yurt dışına veri aktarımı söz konusu olduğunda KVKK'nın 9. maddesi kapsamındaki kurallara dikkat edilmelidir.
Uygulama Mağazası Gereksinimleri
Apple App Store ve Google Play Store, geliştiricilerden gizlilik politikası ve veri toplama uygulamaları hakkında bilgi vermelerini zorunlu kılmaktadır. Apple'ın "App Privacy" etiketleri ve Google'ın "Data Safety" bölümü, kullanıcılara hangi verilerin toplandığı hakkında şeffaf bilgi sunar. Bu gereksinimler KVKK ile birlikte değerlendirildiğinde, aydınlatma ve şeffaflık yükümlülüklerinin etkin şekilde yerine getirilmesine katkı sağlayabilir.
Veri Güvenliği Önlemleri
Mobil uygulamalarda veri güvenliği, KVKK'nın 12. maddesi kapsamında özel önem taşımaktadır. Uygulama geliştiricilerinin alması gereken temel güvenlik önlemleri arasında şunlar sayılabilir:
- Veri iletiminde SSL/TLS şifreleme kullanımı
- Cihazda depolanan hassas verilerin şifrelenmesi
- Güçlü kimlik doğrulama mekanizmaları
- Düzenli güvenlik güncellemeleri ve yama yönetimi
- Minimum veri toplama ilkesine (veri minimizasyonu) uyum
- Kullanıcı verilerinin düzenli olarak yedeklenmesi ve korunması
Pratik Öneriler
Mobil uygulama geliştiricileri ve yayıncıları için genel çerçevede şu adımlar önerilmektedir:
- Uygulamanın ilk açılışında veya kayıt sırasında kapsamlı bir aydınlatma metni sunun
- Her veri erişim izni için ayrı ve anlaşılır açıklamalar verin
- Kullanıcılara verilerini görüntüleme, düzeltme ve silme imkanı tanıyın
- Kullandığınız tüm üçüncü taraf SDK'ları listeleyin ve gizlilik politikasında belirtin
- Yurt dışına veri aktarımı durumlarını aydınlatma metninizde açıklayın
- Düzenli güvenlik denetimleri yapın ve güvenlik açıklarını hızla kapatın
- Tüm bu süreçleri bir hukuk danışmanı eşliğinde yürütmeyi değerlendirin
Sonuç
Mobil uygulamalar, geniş veri toplama kapasiteleri nedeniyle KVKK açısından dikkatli bir yaklaşım gerektirmektedir. Konum, kamera, rehber gibi hassas verilere erişim söz konusu olduğunda, aydınlatma ve açık rıza mekanizmalarının titizlikle uygulanması önerilir. Üçüncü taraf SDK'lar ve yurt dışına veri aktarımı konularında da şeffaf olmak, hem yasal uyum hem de kullanıcı güveni açısından önem taşımaktadır. Bu rehberdeki bilgiler genel çerçeve niteliğindedir; uygulamanıza özel hukuki değerlendirme için mutlaka bir hukuk danışmanına başvurmanızı öneririz.